Necesito crear una setencia SQL segura usando parámetros, pero los valores de los parámetros no son un literal, entonces al momento de usar el comando SQL cur.execute() no genera el SQL correctamente ya que trata las variables como cadenas o literales.
Se que para PostgreSQL existe un modulo llamado psycopg.sql para redactar estas consultas de manera segura. Sin embargo en mi escenario utilizo MYSql.
Existe en Mysql algún modulo que me ayude a redactar este tipo de consultas de manera segura, actualmente mi consulta esta de la siguiente manera:
select_statement=("GRANT %s' ON %s to %s", (grant['grants'],grant['objects'],ms_account_name,))
cur.execute(grant_statement)
Los parámetros no literales que se envían son los siguientes:
grants="select"
objects="*.*"
account="user"
y el resultado que obtengo es el siguiente
SyntaxError: syntax error at or near "'user'"
De la única forma que funciona pero es insegurovulnerable a inyecciones sql es de la siguiente manera:
grant_statement="GRANT %s ON %s to '%s';"%(grant['grants'],grant['objects'],ms_account_name)
cur.execute(grant_statement)